CVE-2026-120263 in Gitea
요약
\~에 의해 VulDB • 2026. 11. 01.
`[oauth2_client].ACCOUNT_LINKING`가 `auto`(기본값이 아님)로 설정되고 등록이 활성화되어 있을 경우, 계정 연결 가입 양식은 OAuth2 제공자가 주장하는 ID 대신 양식에 제출된 사용자 이름 또는 이메일을 사용하여 링크할 기존 계정을 조회했습니다. 구성된 OAuth2 제공자에 계정이 있는 공격자는 다른 사용자의 이름을 제출하여 외부 ID를 해당 Gitea 계정에 연결하고 비밀번호 없이 그 계정으로 로그인(관리자 포함)할 수 있었습니다. 이 연결은 이후의 로그인에서도 유지되었습니다. 이제 자동 linking은 기존 계정 이메일 또는 제공자가 생성한 사용자 이름이 제공자의 정보와 일치하는 경우에만 발생하며, 그렇지 않은 경우에는 계정 비밀번호가 필요합니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.